Seit dem Sommer gibt es zum AI Act zwei Nachrichten, die sich zu widersprechen scheinen. Die eine: Die strengsten Pflichten sind um mehr als ein Jahr verschoben. Die andere: Am 2. August 2026 ist eine neue Stufe in Kraft getreten. Beides stimmt, und die Verwirrung darüber ist der Grund, warum in vielen Betrieben gerade gar nichts passiert.
Ich bin kein Anwalt, und dieser Text ersetzt keine Rechtsberatung. Er ist die Einordnung von jemandem, der KI-Systeme in eigenen Betrieben betreibt und dieselbe Frage für sich beantworten musste.
Zuerst: Sind Sie überhaupt gemeint?
Der AI Act unterscheidet zwischen dem, der ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt, und dem, der ein fremdes System im eigenen Haus einsetzt. Der typische Mittelständler ist Zweiteres. Er kauft ein Tool, bucht einen Dienst, nutzt ein Modell über eine Schnittstelle, und der weit überwiegende Teil der Verordnung richtet sich nicht an ihn.
Das ist der erste Prüfschritt, nicht die Risikoeinstufung. Wer ihn überspringt, arbeitet sich in Anforderungen ein, die für ihn nie gegolten haben. Die Unterscheidung kippt allerdings: Wer ein System unter eigenem Namen anbietet oder ein fremdes wesentlich verändert und weitergibt, kann selbst zum Anbieter werden. Für den internen Einsatz ist das kein Thema. Für den selbstgebauten Assistenten, den Sie Ihren Kunden zur Verfügung stellen, sehr wohl.
Was am 2. August 2026 tatsächlich in Kraft getreten ist
Die Transparenzpflichten aus Artikel 50 der KI-Verordnung. Sie sind die einzige Neuerung dieses Sommers, die einen normalen Betrieb unmittelbar trifft, und sie sind erfreulich handfest.
Wer einen Chatbot oder Sprachassistenten betreibt, muss dafür sorgen, dass Nutzer erkennen können, dass sie mit einer Maschine sprechen. Ein Satz an der richtigen Stelle genügt in aller Regel. Wer Deepfakes erzeugt oder KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht, muss das kenntlich machen. Und für Anbieter generativer Systeme kommt hinzu, dass Ausgaben maschinenlesbar markiert sein müssen, eine Pflicht, die den Werkzeughersteller trifft, nicht den Anwender.
Gleichzeitig ist die Durchsetzung angelaufen: Die Kommission kann seitdem Bußgelder gegen Anbieter großer KI-Modelle verhängen. In Deutschland liegt die Marktüberwachung bei der Bundesnetzagentur, die eine zentrale Beschwerdestelle betreibt. Dort können auch Wettbewerber melden; wer meint, das Thema erledige sich durch Nichtbeachtung, unterschätzt die Motivlage im eigenen Markt.
Der Aufwand für einen normalen Betrieb: ein Nachmittag, wenn man weiß, wo überall im Haus ein Chatbot läuft. Genau das ist erfahrungsgemäß der schwierige Teil.
Was verschoben wurde
Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung zur KI in Kraft getreten, Verordnung (EU) 2026/1744 vom 8. Juli 2026, die die KI-Verordnung ändert. Sie schiebt den Geltungsbeginn der Pflichten für Hochrisiko-Systeme deutlich nach hinten: eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, in regulierte Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Ursprünglich war für beides August 2026 vorgesehen; für Anhang III sind das sechzehn Monate mehr.
Anhang III ist die Liste, unter die ein Mittelständler am ehesten fällt. Dort stehen unter anderem Systeme für Personalauswahl und Personalverwaltung sowie für die Kreditwürdigkeitsprüfung natürlicher Personen. Wer eine KI-gestützte Vorsortierung von Bewerbungen einsetzt, hat für die vollen Anforderungen also bis Ende 2027 Zeit.
Der Omnibus hat zusätzlich den Hochrisiko-Begriff enger gefasst. Systeme, die Anwender lediglich unterstützen, Abläufe effizienter machen oder Qualität kontrollieren, gelten künftig nur dann als hochriskant, wenn ihr Ausfall tatsächlich Gesundheit oder Sicherheit gefährden kann. Damit fallen etliche Anwendungen heraus, die bislang erfasst waren, allerdings um den Preis, dass die Einstufung nun eine echte Beurteilung verlangt statt eines Blicks in eine Liste.
Zwei Dinge gehören zur ehrlichen Darstellung. Der Omnibus verschiebt Fristen, er schafft keine Pflichten ab; inhaltlich bleibt es im Kern beim Alten. Und parallel zur Entlastung ist die Aufsicht gestärkt worden: Das AI Office hat zusätzliche Ressourcen und weitreichendere Ermittlungsbefugnisse bekommen, bis hin zu durchsetzbaren Vor-Ort-Besuchen.
Was schon lange gilt und niemand angefasst hat
Zwei Punkte gehen in der Aufregung um verschobene Fristen regelmäßig unter.
Die verbotenen Praktiken nach Artikel 5 gelten seit Februar 2025 und sind seit August 2025 bußgeldbewehrt. Die meisten davon sind für einen normalen Betrieb exotisch, einer nicht: Emotionserkennung am Arbeitsplatz. Wer über Software nachdenkt, die die Stimmung von Mitarbeitern erfasst, im Callcenter-Umfeld gibt es solche Angebote, sollte sehr genau hinsehen.
Und die Pflicht zur KI-Kompetenz nach Artikel 4 gilt ebenfalls seit Februar 2025. Personal, das mit KI-Systemen arbeitet, muss über ausreichende Kenntnisse verfügen. Der Omnibus hat diese Pflicht inhaltlich abgeschwächt, aber nicht gestrichen. Sie ist damit die einzige Anforderung der Verordnung, die praktisch jeden Betrieb betrifft, der KI einsetzt, unabhängig von Risikoklasse, Größe und Branche. Und sie ist die einzige, die man nicht kurzfristig herstellen kann. Fristen lassen sich abwarten. Eine Belegschaft, die weiß, was sie tut, nicht.
Vier Schritte, die ich empfehlen würde
Legen Sie ein Verzeichnis an: welche KI-gestützten Systeme sind im Haus tatsächlich im Einsatz, wer nutzt sie, wofür. Das dauert einen halben Tag und ist regelmäßig die überraschendste halbe Stunde des Projekts, weil in jedem Betrieb mehr läuft, als die Geschäftsführung weiß.
Klären Sie für jedes System die Rolle: eingekauft oder selbst angeboten.
Versehen Sie Chatbots und Sprachassistenten mit einem Hinweis. Das ist heute fällig, nicht 2027.
Und prüfen Sie die Handvoll Anwendungen, die in Richtung Personal oder Bonität gehen. Dafür haben Sie jetzt Zeit, aber Zeit ist kein Freibrief, sondern die Gelegenheit, es einmal ordentlich zu machen, statt es später unter Druck zu tun.
Stand: August 2026. Die Rechtslage in diesem Feld bewegt sich derzeit schnell; vor Entscheidungen mit Tragweite gehört anwaltlicher Rat dazu.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026 – EUR-Lex
- Verordnung (EU) 2024/1689, Amtsblattfassung – EUR-Lex
- Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), in Kraft seit 27. Juli 2026
- Artikelweise Lesefassung der KI-Verordnung – ai-act-law.eu
Wie dieser Text entstanden ist: Grundlage sind der Verordnungstext in der seit dem 27. Juli 2026 geltenden konsolidierten Fassung sowie die eigene Einordnung der Systeme, die in den eigenen Betrieben im Einsatz sind. Stand: August 2026.
Zum Autor
Philip Hohn berät mittelständische Unternehmen beim Einsatz von künstlicher Intelligenz. Er ist Geschäftsführer der HBC Hohn Business Consulting UG und führt mehrere eigene Unternehmen und Projekte, darunter die Edura Akademie GmbH, einen nach AZAV zugelassenen Träger für KI-Weiterbildung. Zuvor leitete er eine Agentur mit siebzig Mitarbeitern an vier Standorten sowie eine Entwicklungsagentur mit fünfzehn Programmierern. Er ist kein Rechtsanwalt; rechtliche Einordnungen in seinen Texten ersetzen keine Beratung im Einzelfall.